Co se stane s dokumentem po nahrání do AI nástroje

Ve výchozím nastavení běžného účtu, tedy ne firemního, může poskytovatel obsah konverzace i nahrané soubory dočasně uložit a v některých případech použít k dalšímu trénování modelu. Text smlouvy nebo faktury se tak stává součástí systému, nad kterým už uživatel nemá plnou kontrolu. Nelze snadno ověřit, zda a jak dlouho se data uchovávají, ani jestli je náhodou neuvidí někdo jiný v odpovědi na zcela jiný dotaz.

Konkrétní chování se liší podle produktu a hlavně podle toho, jde-li o placenou firemní verzi, nebo o běžný spotřebitelský účet.

Jak to má nastavené OpenAI, Google a Microsoft

OpenAI (ChatGPT): U ChatGPT Free nebo Plus se konverzace standardně mohou používat k trénování, pokud uživatel v nastavení historii a trénování ručně nevypne. Naproti tomu ChatGPT Team, Enterprise a přístup přes API podle veřejně deklarovaných podmínek OpenAI data k trénování nepoužívá a nabízí smlouvu o zpracování osobních údajů (DPA).

Google (Gemini): Podobně funguje i Gemini. Spotřebitelská verze může obsah konverzací využívat ke zlepšování služeb, dokud to uživatel nevypne v aktivitách účtu Google. Firemní verze v rámci Google Workspace má samostatné podmínky zpracování dat a smlouvu na zpracovatele.

Microsoft (Copilot): Copilot integrovaný do Microsoft 365 · Word, Outlook, Teams · pracuje v rámci existující firemní smlouvy o zpracování dat organizace a data podle deklarovaných podmínek nepoužívá k trénování veřejných modelů. Bezplatná verze Copilotu pro jednotlivce má odlišná pravidla, bližší spotřebitelskému ChatGPT nebo Gemini.

Ve všech třech případech platí totéž: rozdíl mezi bezplatnou verzí pro jednotlivce a firemní verzí s DPA je zásadní. Neurčuje ho technologie samotná, ale smluvní rámec, který stanovuje, co se s daty smí dít.

GDPR a firemní dokumenty: na co se ptát před nahráním

Pokud smlouva nebo faktura obsahuje osobní údaje · jméno, adresu, rodné číslo, bankovní spojení · , vztahuje se na její zpracování v AI nástroji GDPR stejně jako na jakékoli jiné zpracování. Firma jako správce údajů musí mít s poskytovatelem AI nástroje uzavřenou smlouvu o zpracování osobních údajů, vědět, kde se data fyzicky zpracovávají (EU, USA, jinde), a mít pro zpracování právní důvod.

Praktický test zní jednoduše: pokud by se stejný dokument poslal e-mailem externí firmě, vyžadovalo by to smlouvu o zpracování a záznam ve zpracovatelských činnostech? Když ano, stejná logika platí i pro AI nástroj. V auditech CIAD se opakovaně ukazuje, že firmy tento krok přeskočí · zaměstnanec nahraje fakturu do bezplatného ChatGPT „na rychlé shrnutí“ a nikdo si neuvědomí, že jde o zpracování osobních údajů mimo schválený rámec.

Modelový příklad: účetní v menší české firmě chce zjistit, zda faktura od dodavatele obsahuje všechny povinné náležitosti podle zákona o DPH. Nahraje ji do bezplatného ChatGPT s dotazem na kontrolu. Faktura přitom obsahuje IČO, adresu firmy i jméno kontaktní osoby dodavatele · jde tedy o osobní údaje, které opustily firemní prostředí bez smlouvy o zpracování a bez vědomí vedení.

Jak riziko reálně snížit

  1. Používejte firemní nebo placenou verzi s garancí, že se data nepoužívají k trénování · ChatGPT Enterprise/Team, Gemini pro Workspace, Copilot v M365.
  2. Vypněte historii a trénování v nastavení účtu, pokud firemní verze není dostupná.
  3. Anonymizujte citlivé údaje · jména, rodná čísla, čísla účtů nahraďte zástupnými texty ještě před vložením do AI.
  4. Ověřte umístění serverů a DPA u poskytovatele, zejména jestli dokument obsahuje osobní údaje třetích stran.
  5. Stanovte interní pravidlo, které dokumenty smí zaměstnanci do AI nástrojů nahrávat a které ne · typicky vyloučit smlouvy s třetími stranami, mzdové podklady, zdravotní údaje.

Co to znamená: Nahrát fakturu nebo smlouvu do AI nástroje může být v pořádku, pokud se používá firemní verze s odpovídající smlouvou o zpracování dat, nebo pokud se citlivé údaje předem anonymizují. Bez těchto opatření hrozí, že dokument opustí kontrolovaný firemní prostor a poruší se tím povinnosti podle GDPR.

Časté dotazy

Může ChatGPT použít moji nahranou smlouvu k trénování dalších odpovědí?

U bezplatné verze ano, pokud uživatel v nastavení historii a trénování explicitně nevypne. U placených firemních verzí, jako ChatGPT Team nebo Enterprise, se data k trénování podle podmínek OpenAI nepoužívají.

Je rozdíl mezi nahráním dokumentu do ChatGPT a do Copilotu v Microsoft 365?

Ano, zásadní rozdíl je ve smluvním rámci. Copilot v M365 pracuje v rámci firemní smlouvy o zpracování dat organizace, zatímco bezplatný ChatGPT nebo Copilot pro jednotlivce má odlišná, méně chráněná pravidla.

Potřebuje firma souhlas zaměstnance, aby mohla jeho údaje nahrát do AI nástroje?

Záleží na právním důvodu zpracování. U mzdových nebo personálních dokumentů obvykle nestačí obecný souhlas, ale je potřeba mít nastavený zákonný důvod a smlouvu o zpracování s poskytovatelem AI nástroje.

Jak poznám, že AI nástroj, který firma používá, je bezpečný z hlediska GDPR?

Bezpečný nástroj má veřejně dostupnou smlouvu o zpracování osobních údajů (DPA), uvádí umístění serverů a garantuje, že firemní data nepoužívá k trénování modelu bez souhlasu.